JBNews.id — Seorang peneliti keamanan siber asal Yunani mengungkap temuan mengejutkan: operasi peretasan Korea Utara telah berdampak pada 1.640 perusahaan di 57 negara selama 22 bulan terakhir. Temuan ini akan dipaparkan dalam konferensi keamanan Black Hat di Las Vegas hari ini.
Vangelis Stykas, peneliti keamanan siber yang berbasis di Yunani, mengatakan sekitar 700 hingga 800 organisasi yang terdampak mengalami intrusi yang “sangat merusak”. Stykas yang menjabat sebagai CTO di perusahaan keamanan siber Kumio ini memperoleh akses ke server perintah-dan-kontrol yang digunakan para peretas, meskipun ia meminta detail metode aksesnya dirahasiakan karena sensitivitas informasi tersebut.
“Itu akses perusahaan, akses root ke server, akses root ke AWS,” kata Stykas kepada WIRED, merujuk pada Amazon Web Services dan istilah “root” yang berarti tingkat izin tertinggi dalam sistem komputer. “Untuk perusahaan kripto, itu kunci, akses blockchain—akses yang luar biasa.”
Dalam beberapa kasus, para peretas tampaknya terinfeksi malware mereka sendiri, yang justru memberikan Stykas akses ke workstation para peretas. “Saya punya akses ke Slack mereka, akses ke Discord mereka, akses ke banyak hal,” ujarnya, seraya menambahkan bahwa ia telah melihat total sekitar 5 terabyte data.
Perusahaan yang Terdampak dan Respons Mereka
Sebagai bagian dari presentasinya di Black Hat, Stykas secara publik menyebut sekitar selusin perusahaan yang terdampak—sebagian besar adalah perusahaan yang menangani pengungkapan dengan baik dan/atau memperbaiki kemungkinan kompromi. Perusahaan-perusahaan tersebut meliputi Boston Children’s Hospital yang menyimpan database Covid-19 berisi data kesehatan pribadi warga Amerika, perusahaan teknologi Jepang AEON Smart Technology, produsen ponsel China Oppo, perusahaan kripto Coinbase dan Uniswap Labs, Dewan Yudisial Tertinggi Italia, anak perusahaan bank Arab Saudi Al Rajhi Bank, serta Digitaal Vlaanderen yang merupakan bagian dari Pemerintah Flemish di Belgia.
Tim Tanggap Darurat Komputer Jepang mengonfirmasi temuan peneliti tersebut dan bekerja sama dengan AEON Smart Technology dalam “remediasi”. Sementara itu, juru bicara pemerintah Flemish menyatakan, “Kami dapat mengonfirmasi bahwa kami diberitahu tentang insiden ini pada 3 Maret 2026 oleh Centre for Cybersecurity Belgium (CCB), menyusul pengungkapan peneliti. Sebagai bagian dari respons itu, workstation yang terkena dampak diisolasi dan kredensial serta akses yang berpotensi terekspos dicabut dan diputar ulang. Berdasarkan penyelidikan kami, insiden telah dikendalikan dan diperbaiki.”
Juru bicara Boston Children’s Hospital menyatakan bahwa insiden tersebut “melibatkan perangkat pribadi mantan kontraktor independen” dan bukan sistem rumah sakit. “Setelah pemberitahuan, tim keamanan siber dan TI kami segera menyelidiki, menonaktifkan kredensial akses aktif yang tersisa dalam hitungan jam, dan tidak menemukan bukti akses tidak sah ke sistem Boston Children’s,” kata juru bicara tersebut, seraya menambahkan bahwa “data yang dipermasalahkan” sudah tersedia untuk publik.
Sementara itu, juru bicara Coinbase menyatakan mereka menyelidiki seorang kontraktor yang ternyata berada di Amerika Serikat dan “tidak menemukan bukti bahwa ia berlokasi di Korea Utara atau berafiliasi dengan pemerintah DPRK” sebelum dilaporkan oleh peneliti. “Namun, kontrol keamanan kami mengidentifikasi potensi risiko dalam pengaturan teknologi mereka, menunjukkan bahwa mereka mungkin mengalihdayakan pekerjaan mereka ke pihak ketiga, dan kami mengakhiri kontrak kontraktor dalam 30 hari sejak bergabung, sebelum menerima informasi dari Vangelis Stykas,” kata juru bicara tersebut. Mereka menambahkan bahwa “tidak ada informasi sensitif yang dikompromikan dan tidak ada data pelanggan yang terekspos.”
Taktik Wawancara Palsu dan Dampaknya
Dalam hampir semua kasus ratusan perusahaan yang diretas—serta lebih dari seribu organisasi lainnya yang menjadi sasaran—para peretas menggunakan taktik sederhana yang terdokumentasi dengan baik: memikat pengembang perangkat lunak dengan tawaran pekerjaan palsu yang menjanjikan gaji tinggi. Setelah target terpikat, insinyur tersebut diminta mengunduh program sebagai tes kemampuan coding mereka, yang secara diam-diam menginstal malware di mesin mereka.
Kelompok peretas Korea Utara telah menggunakan teknik peretasan wawancara palsu dalam kampanye yang lebih luas bernama Contagious Interview sejak awal tahun 2022, menurut Microsoft. Stykas mengatakan bahwa kontraktor eksternal yang tampaknya dikompromikan, yang sering memegang kunci pengembang atau memiliki akses sistem ke berbagai sistem, secara signifikan meningkatkan potensi ledakan serangan yang berhasil. “Saya melihat beberapa kontraktor yang memiliki akses hingga 30 perusahaan,” jelasnya.
Operasi siber Korea Utara bersifat luas dan dinamis, menurut laporan yang diterbitkan oleh perusahaan keamanan siber Dtex tahun lalu. Strukturnya dan para operator di dalamnya sering beradaptasi untuk mendukung prioritas negara, seperti pembangunan ekonomi dan militer, pengembangan pendapatan, spionase, dan penghindaran sanksi. Negara ini kemungkinan memiliki beberapa ratus operator siber terampil yang sering dilatih sejak usia muda, dengan “beberapa ribu” pekerja TI yang mendapatkan pekerjaan jarak jauh palsu di perusahaan sah untuk menghasilkan uang yang dapat disalurkan ke rezim yang banyak dikenai sanksi. Pekerja siber dan TI sama-sama ditetapkan kuota pendapatan tahunan, menurut laporan Dtex.
Marcus Hutchins, peneliti intelijen ancaman untuk perusahaan keamanan siber Expel yang telah melacak kampanye serupa dengan daftar korban yang sama panjangnya, mengatakan bahwa gagasan satu kelompok peretas Korea Utara dapat mengkompromikan lebih dari seribu organisasi melalui umpan wawancara palsu bukanlah hal yang mengejutkan. Hutchins mengatakan ia juga melihat fokus laser serupa pada pencurian kripto dalam beberapa kasus, hingga mengesampingkan data sensitif lainnya, tetapi memperingatkan bahwa hal itu seharusnya tidak membuat nyaman.
“Tampaknya tim-tim tersebut cenderung bertahan pada tugas mereka mendapatkan dompet kripto. Tetapi jelas ada risiko bahwa jika mereka mempertahankan akses persisten ke sebuah perusahaan, salah satu tim spionase kemudian bisa menumpang di akses itu,” kata Hutchins. “Yang diperlukan hanyalah satu orang yang diberi akses ke sistem itu, dan mereka bisa melakukan apa saja.”
Mengingat bahaya pelanggaran tersebut—baik dalam hal paparan data sensitif maupun pencurian cryptocurrency yang terus berlangsung yang memperkaya rezim Korea Utara—kekhawatiran nyata seharusnya tidak hanya pada perusahaan yang disebut Stykas, tetapi juga yang tidak ia sebut. Perusahaan-perusahaan itu termasuk ratusan yang tidak pernah menanggapi peringatannya, serta lebih banyak lagi yang ditambahkan ke daftar setiap hari.
“Ini dimulai sebagai proyek sampingan, dan sekarang ini menjadi pekerjaan penuh waktu saya,” kata Stykas. “Mereka ada di sini, mereka meretas kita tanpa henti. Pada akhirnya, semua orang diretas. Cara Anda memperlakukan peretasan adalah yang membedakan perusahaan baik dari perusahaan buruk. Dan kami telah melihat banyak perusahaan buruk.”
Ancaman peretasan Korea Utara ini menunjukkan pentingnya kewaspadaan keamanan siber, terutama bagi perusahaan yang mengandalkan kontraktor eksternal. Pengguna juga perlu memahami risiko keamanan dasar untuk melindungi data mereka. Serangan semacam ini juga mengingatkan bahwa kebijakan keamanan teknologi semakin penting di berbagai sektor.
